IKEv1 mei XAuth en OTP: wat elk fjild freget
In groeps-PSK, in brûkers-XAuth-útwikseling en in OTP-útdaging binne trije ferskillende ynfier. Keppelje elk fjild oan syn eigner foar’t jo in oare klient ynstallearje.
IKEv1 mei PSK, XAuth en OTP freget net om ien yngewikkeld wachtwurd. It leit in dielde kaai tusken pearen, in brûkersútwikseling en in twadde faktor oerinoar, wêrfan de backend beslút hoe’t dy frege wurdt. Elke laach hat syn eigen eigner en syn eigen flaterberjocht. Se trochinoar helje lit minsken in ienmalige koade op ’e nij ynfiere yn in fjild dat in groepsgeheim bewarret.
Keppelje elk fjild oan ’e laach dy’t it freget foar’t jo in oare klient ynstallearje of oanmeldgegevens weromsette.
Trije geheimmen, trije eigners
De foarôf dielde kaai heart by de pearrelaasje en wurdt ien kear konfigurearre troch wa’t beide einen hat. De brûkersoanmeldgegevens hearre by de autentikaasje-backend en wurde by elke oanmelding kontrolearre. De twadde faktor heart by in tokensysteem wêrfan it antwurd by elke poging feroaret. Gjinien ferfangt in oare, en in útrulling dy’t se as ien wachtwurd behannelet, mislearret yn ’e laach dy’t nimmen dokumintearre hat.
Skriuw trije kolommen del: eigner, libbensdoer en it flaterberjocht dat elk jout. Dy tabel is it diagnostyske ark, en de fjildnammen fan ’e klient binne dat net.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: it pear, net de persoan
De foarôf dielde kaai autentisearret it gateway-pear yn dizze âlde opstelling, sadat de oanmelding fan ’e brûker it nea ferfangt. It is ek de wearde dy’t it meast wierskynlik ferkeard is op in manier dy’t in algemiene ûnderhannelingsflater jout ynstee fan in fjild. As de tunnel mislearret foar’t der ea in brûkersfjild ferskynt, binne de kaai of de foarstellen de fertochten.
Brûkersoanmeldgegevens kinne in flater yn ’e earste faze net reparearje. Se rotearje fergriemt de iennige oanmeldgegevens dy’t jo feilich rotearje kinne, en it fersterket de ferkearde teory.
XAuth: de âlde brûkersútwikseling
XAuth foeget in brûkersautentikaasje-útwikseling ta boppe de pearautentikaasje fan IKEv1, en de gateway beslút hokker backend it kontrolearret. Ofhinklik fan dy backend kin de útwikseling in mapwachtwurd, RADIUS-aanmeldgegevens of in tokenantwurd akseptearje. It wurd XAuth neamt it ferfier fan ’e útwikseling, net it type oanmeldgegevens.
Kontrolearje nei hokker backend it gateway-profil wiist. Dat fertelt jo wat der fan ’e brûker frege wurdt en wat in wachtwurdweromsetning echt feroaret, en gjin fan beide is te sjen yn in klientprofil.
OTP: wat de backend ek freget
Guon útrullingen freegje nei it wachtwurd in aparte ienmalige koade, en oaren definiearje in kombinearre ynfierformaat mei in dokumintearre skiedingsteken. Beide bestean, en it profil foar jo beslút hokker. In gearfoeging betinke om’t it earne oars wurke, is de meast foarkommende manier om in ynskriuwingstoken te ferbaarnen. De dokumintaasje fan ’e gateway sels is de iennige boarne dy’t dat beslist.
Brûk it dokumintearre formaat mei in klient dy’t de útwikseling dy’t de gateway biedt, ôfmeitsje kin.
Wêr’t de kliengrins byt
Fortinet dokumintearret dat FortiClient 7.4.4 en letter IKEv1 foar IPsec-VPN’s net mear stypje, wat in produkt- en ferzje-grins is en gjin algemiene fuortsetting, sa’t FortiClient-kompatibiliteitsnotysje dat fêstleit. Oare klienten binne ek net útwikselber: OpenConnect en openfortivpn prate beskaat gatewayprotokollen, gjin willekeurige IKEv1-profilen. Kontrolearje de IKE-ferzje, PSK-modus, XAuth-stipe en ynteraksjemodel fan ’e ynstallearre klient apart. In klient dy’t fia in oare metoade ferbynt, hat de oarspronklike eask net bewiisd.
IKEv1 is ferâldere, dus in nije útrulling op in net-stipe âlde klient is in koart libbene oplossing. Freegje de gateway-eigner om in stipe migraasjepaad, ynklusyf hoe’t de twadde faktor dêr behannele wurde sil.
Diagnoaze sûnder de faktor út te skeakeljen
Skied de fazen yn it loch: pearûnderhanneling, de brûkersútwikseling, it resultaat fan ’e twadde faktor, dan adres- en rûtetawizing. Skriuw de komponint en de faze op ynstee fan de koade yn elk fjild te prebearjen. De faktor útskeakelje sadat in test slagget, jout in tunnel dy’t neat oer de útrulling bewiist.
Hâld ynskriuwinggeheimmen en de dielde kaai yn beskerme opslach neffens it proses fan ’e organisaasje. In ienmalige koade yn in bliuwend bestân is in faktor dy’t opholden is der ien te wêzen.